DataStax Cassandra核心驱动器依赖于易受攻击的Guava-19

Question

DataStax cassandra核心 Java驱动器对guava-19（包括最新的DataStax）具有传递性依赖关系，而guava-19具有安全漏洞（CVE-2018-10237）。

为了解决这个问题，当我尝试从DataStax驱动器中排除guava-19.0依赖项并替换为guava-27.1-jre时，在运行时出现以下错误，并通过反编译最新的guava驱动程序进行了确认；好像从guava-20.0中删除了FutureFallback类，并且与最新的cassandra驱动器没有向后兼容性。

java.lang.NoClassDefFoundError: com/google/common/util/concurrent/FutureFallback

任何帮助或快速修复或替代都是非常可取的。

Answer 1

AtomicDoubleArray该漏洞与Guava 类相关CompoundOrdering；我们不在驱动程序中使用它们。

我们已经解决了JAVA-1328中的 Guava 兼容性问题。该驱动程序与 16.0.1 兼容，有一个内部兼容层来解决 19 中的重大更改。我刚刚尝试了一个简单的客户端，它覆盖了对 27.1-jre 的依赖，一切都按预期工作。

您是如何测试的以及错误的堆栈跟踪是什么？